Datenschutzerklärung

Stand: 28. Juni 2026

Der Schutz deiner Daten ist für KlarAssistent kein Marketingversprechen, sondern Teil der Architektur. Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage und welche Rechte du hast.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:

Holderbaum GmbH, Kurfürstenstraße 38, 54295 Trier, Deutschland
Vertreten durch die Geschäftsführer: Christina Holderbaum, Jakob Holderbaum
Handelsregister: HRB 45159, Amtsgericht Wittlich
Umsatzsteuer-Identifikationsnummer: DE319672148
E-Mail: datenschutz@holderbaum.io · Telefon: +49 156 79642875

KlarAssistent („Klara") ist ein Dienst der Holderbaum GmbH.

2. Datenschutzbeauftragter

Die Holderbaum GmbH ist gesetzlich nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht erfüllt sind. Für alle Fragen zum Datenschutz erreichst du uns unter den oben genannten Kontaktdaten.

3. Geltungsbereich und Rollen

Diese Datenschutzerklärung gilt für den Besuch dieser Website, die Anmeldung zur Warteliste der kostenfreien Testphase und die Nutzung der Anwendung KlarAssistent. Wichtig ist die Unterscheidung der Rollen: Für die Website und die Kundendaten der Therapeut:innen ist die Holderbaum GmbH Verantwortliche. Für die fallbezogenen Inhalte, die Therapeut:innen in der Anwendung verarbeiten, ist die Holderbaum GmbH Auftragsverarbeiterin im Auftrag der jeweiligen Therapeutin / des jeweiligen Therapeuten.

4. Datenverarbeitung beim Besuch der Website

4.1 Hosting und Server-Logfiles

Die Website wird derzeit über die Plattform Lovable (Lovable Labs Incorporated, Delaware/USA; EU-Vertretung über Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Schweden) bereitgestellt; zur Auslieferung statischer Inhalte kommt das Content-Delivery-Netzwerk von Cloudflare zum Einsatz. Beim Aufruf der Website werden technisch notwendige Verbindungsdaten (Server-Logfiles) verarbeitet: IP-Adresse (soweit vom Dienstleister technisch gekürzt), Datum und Uhrzeit des Zugriffs, aufgerufene Seite und Statuscode, übertragene Datenmenge, Referrer-URL, Browsertyp, Betriebssystem und Sprache.

Zweck: technische Bereitstellung, Stabilität und Sicherheit der Website.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb).
Speicherdauer: in der Regel wenige Tage bis maximal 30 Tage, danach Löschung oder Anonymisierung.

Mit den eingesetzten Dienstleistern besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Da Lovable als US-Unternehmen (Delaware) einzuordnen ist und auch Cloudflare bzw. Subdienstleister Daten außerhalb der EU/des EWR — insbesondere in den USA — verarbeiten können, erfolgt eine etwaige Drittlandübermittlung auf Grundlage der EU-Standardvertragsklauseln (Modul 2, Verantwortlicher-zu-Auftragsverarbeiter, Art. 46 DSGVO) und ergänzender Schutzmaßnahmen. Hinweis: Das auf dieser Seite genannte Versprechen „Verarbeitung in Deutschland (Microsoft Azure Deutschland)" bezieht sich auf die Anwendung und die dort verarbeiteten fall- und patientenbezogenen Inhalte (Abschnitt 5), nicht auf die rein werbliche Website. Über die Website werden keine Patientendaten verarbeitet.

Cookies: Für den sicheren und stabilen Betrieb können technisch notwendige Cookies bzw. vergleichbare Technologien gesetzt werden (z. B. zur Lastverteilung, Sicherheit und Bot-Abwehr durch Cloudflare). Diese sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Einwilligungspflichtige Analyse- oder Marketing-Cookies setzen wir auf dieser Website derzeit nicht ein.

4.2 Anmeldung zur Warteliste

Über das Formular kannst du dich für die kostenfreie Testphase auf die Warteliste setzen lassen. Dabei verarbeiten wir deine E-Mail-Adresse (Pflichtangabe) und deinen Berufsstatus (freiwillige Angabe: in Ausbildung / niedergelassen / Supervisor:in).

Zweck: Verwaltung der Warteliste und Versand des Zugangs zur Testphase sowie damit unmittelbar zusammenhängender Informationen. Wir verwenden deine E-Mail-Adresse ausschließlich, um dir Zugang zu schicken und mit dir zur Testphase zu kommunizieren — nicht für allgemeine Werbung ohne gesonderte Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf deine Anfrage) sowie Art. 6 Abs. 1 lit. a DSGVO, soweit eine Einwilligung erteilt wird.

Verarbeitung durch Dienstleister: Für die Verwaltung der Warteliste und den E-Mail-Versand nutzen wir einen E-Mail-Dienstleister mit Serverstandort in der EU/im EWR, mit dem ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.

Speicherdauer: bis zum Abschluss der Testphasen-Onboarding-Kommunikation bzw. bis zu deinem Widerruf/Widerspruch. Du kannst dich jederzeit aus der Warteliste austragen lassen.

4.3 Kontaktaufnahme

Wenn du uns per E-Mail kontaktierst, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO. Wir speichern die Daten, bis die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

5. Datenverarbeitung in der Anwendung KlarAssistent

5.1 Rollenverteilung

Für Kontodaten und Nutzungsdaten der Therapeut:innen (z. B. Name, E-Mail, Anmeldedaten, Abrechnungs- und Nutzungsinformationen) ist die Holderbaum GmbH Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO; dafür gilt diese Datenschutzerklärung. Für fallbezogene Inhalte, die Therapeut:innen eingeben oder hochladen, verarbeitet die Holderbaum GmbH die Daten ausschließlich als Auftragsverarbeiterin im Auftrag und nach Weisung der jeweiligen Therapeutin / des jeweiligen Therapeuten. Verantwortliche im datenschutzrechtlichen Sinne ist hier die Therapeutin / der Therapeut. Grundlage ist der zwischen Therapeut:in und Holderbaum GmbH geschlossene Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Die Informationspflichten gegenüber den Patient:innen sowie das Verarbeitungsverzeichnis obliegen der/dem verantwortlichen Therapeut:in.

5.2 Konto und Registrierung

Für die Nutzung von KlarAssistent ist ein Konto erforderlich. Wir verarbeiten die zur Einrichtung und Verwaltung notwendigen Daten (z. B. Name, E-Mail-Adresse, Anmeldeinformationen, Berufsstatus).

Zweck: Bereitstellung und Verwaltung des Nutzerkontos, Authentifizierung, Kommunikation zum Dienst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: für die Dauer des Nutzungsverhältnisses; danach Löschung, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

5.3 Verarbeitung der fachlichen Eingaben und Berichtserstellung

Im fallführenden Dialog gibst du fachliche Informationen ein; auf deine ausdrückliche Aufforderung erstellt Klara daraus Textentwürfe und führt Qualitätsprüfungen durch. Zur Erzeugung werden die Eingaben an ein KI-Sprachmodell übergeben, das wir über Microsoft Azure mit Serverstandort in Deutschland betreiben (Azure OpenAI Service, Region Germany West Central / Germany North). Dabei gilt: Inhalte werden innerhalb der EU Data Boundary von Microsoft in den deutschen Azure-Regionen verarbeitet. Deine Eingaben werden nicht zum Training oder zur Verbesserung der zugrunde liegenden KI-Modelle verwendet. Für den berufsgeheimnisrelevanten Einsatz ist die „Modified Abuse Monitoring"-Konfiguration vorgesehen, sodass kein Microsoft-Personal Zugriff auf die Inhalte erhält. Die datenschutzrechtliche Rechtsgrundlage für die Verarbeitung der Patientendaten verantwortet die/der Therapeut:in (regelmäßig Art. 9 Abs. 2 lit. h i. V. m. Abs. 3 DSGVO, § 22 BDSG, in Verbindung mit der berufsrechtlichen Schweigepflicht).

5.4 Speicherdauer und Datensparsamkeit

KlarAssistent ist darauf ausgelegt, möglichst wenige Daten möglichst kurz zu speichern. Hochgeladene Dateien werden nach der Verarbeitung verworfen; eine etwaige Texterkennung (OCR) dient nur der Aufbereitung und nicht der dauerhaften Speicherung. Personenbezogene Inhalte werden über den jeweiligen Verarbeitungslauf hinaus nicht dauerhaft vorgehalten. Die konkreten Speicher- und Löschfristen sind im Auftragsverarbeitungsvertrag und in den technischen und organisatorischen Maßnahmen festgelegt.

5.5 Pseudonymisierung „per Design" und Anonymisierungspflicht

KlarAssistent ist so konzipiert, dass der PTV-3-Prozess ohne Klarnamen der Patient:innen funktioniert: Der Bericht an die Gutachterin / den Gutachter ist verfahrensseitig ohnehin pseudonym anzulegen. In diesem Sinne ist Pseudonymisierung Teil des Designs. Gleichzeitig bist du als Therapeut:in verpflichtet, ausschließlich anonymisierte bzw. pseudonymisierte Angaben einzugeben und keine unmittelbar identifizierenden Patientendaten (insbesondere Klarnamen, Adressen, Geburtsdaten, Versichertennummern) in die Anwendung einzugeben. Diese Pflicht ergibt sich aus deiner Verantwortlichkeit nach der DSGVO und aus deiner berufsrechtlichen Schweigepflicht (§ 203 StGB). KlarAssistent stellt hierfür Werkzeuge und deutliche Hinweise bereit; die Einhaltung liegt in deiner Verantwortung als Berufsgeheimnisträger:in.

5.6 Berufsgeheimnis (§ 203 StGB) und Vertraulichkeitskette

Da Inhalte aus einem geschützten Behandlungsverhältnis verarbeitet werden können, ist die Schweigepflicht nach § 203 StGB zu wahren. Die Holderbaum GmbH ist selbst nicht Berufsgeheimnisträgerin, stellt jedoch eine durchgehende Vertraulichkeitskette bereit: eine Vertraulichkeitsverpflichtung der Holderbaum GmbH gegenüber der/dem Therapeut:in (mitwirkende Personen im Sinne des § 203 Abs. 3 StGB) sowie eine entsprechende Zusatzvereinbarung mit Microsoft für die eingesetzte Cloud („Microsoft Cloud Agreement Professional Secrecy Amendment for Germany"), die die Vertraulichkeit bis zum Hoster fortschreibt.

6. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies zur Leistungserbringung erforderlich ist, du eingewilligt hast oder wir gesetzlich dazu verpflichtet sind. Eingebundene Dienstleister verarbeiten Daten ausschließlich weisungsgebunden auf Grundlage von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO:

• Lovable Labs Inc. (Delaware/USA; EU-Vertretung Lovable Labs AB, Stockholm): Hosting/Bereitstellung der Website (USA/EU; Subdienstleister ggf. Drittland; AVV, SCC Modul 2).
• Cloudflare: Content-Delivery-Netzwerk der Website (global verteilt, ggf. Drittland; AVV, SCC).
• E-Mail-Dienstleister (EU/EWR): Verwaltung Warteliste und E-Mail-Versand (AVV).
• Microsoft (Azure / Azure OpenAI): Hosting und KI-Verarbeitung der Anwendung in Deutschland (Germany West Central / North), EU Data Boundary (AVV, Professional Secrecy Amendment).

7. Datenübermittlung in Drittländer

Die Verarbeitung der sensiblen Anwendungs-/Falldaten findet in Deutschland statt. Bei einzelnen Diensten im Website-Betrieb — insbesondere der Hosting-Plattform Lovable (US-Unternehmen, Delaware), Cloudflare und etwaigen Subdienstleistern — kann eine Verarbeitung außerhalb der EU/des EWR, insbesondere in den USA, stattfinden. In diesen Fällen stellen wir ein angemessenes Datenschutzniveau sicher, insbesondere durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), ergänzende technische und organisatorische Schutzmaßnahmen sowie, soweit einschlägig, einen gültigen Angemessenheitsbeschluss (Art. 45 DSGVO).

8. Deine Rechte als betroffene Person

Dir stehen folgende Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO), Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO) sowie Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Zur Ausübung genügt eine formlose Nachricht an die in Abschnitt 1 genannten Kontaktdaten. Wir beantworten Anträge spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Beschwerderecht: Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP), Hintere Bleiche 34, 55116 Mainz, poststelle@datenschutz.rlp.de. Du kannst dich auch an die Aufsichtsbehörde deines üblichen Aufenthaltsorts wenden.

Hinweis für Patient:innen: Betreffen deine Daten als Patient:in die Verarbeitung in der Anwendung, ist hierfür datenschutzrechtlich deine Therapeutin / dein Therapeut verantwortlich. Bitte richte Auskunfts- und Löschwünsche zu Falldaten an die behandelnde Praxis.

9. Pflicht zur Bereitstellung von Daten

Die Bereitstellung von Daten ist teils gesetzlich/vertraglich erforderlich (z. B. zur Vertragserfüllung oder Kontoeinrichtung), teils freiwillig (z. B. der Berufsstatus bei der Warteliste). Pflichtangaben sind als solche gekennzeichnet. Ohne die zur Vertragserfüllung erforderlichen Daten können wir den jeweiligen Dienst nicht bereitstellen.

10. Einsatz von KI, Transparenz und keine automatisierte Entscheidung im Einzelfall

KlarAssistent setzt künstliche Intelligenz ein, um dich im Dialog zu unterstützen und auf deine Aufforderung Textentwürfe und Qualitätsprüfungen zu erstellen. Du interagierst dabei erkennbar mit einem KI-System (Transparenz nach Art. 50 KI-VO / EU AI Act). KI-generierte Inhalte sind als Vorschläge zu verstehen. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt: Klara verfasst den Bericht nicht eigenständig und trifft keine Entscheidungen über dich oder über Patient:innen. Inhalte gelangen nur nach deiner ausdrücklichen Bestätigung in den Bericht; die fachliche und administrative Letztentscheidung liegt stets bei dir.

11. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um deine Daten gegen Verlust, Manipulation und unbefugten Zugriff zu schützen (u. a. Transportverschlüsselung (TLS), Zugriffs- und Berechtigungskonzepte, Datensparsamkeit). Die eingesetzten Dienstleister sind nach anerkannten Standards zertifiziert (u. a. ISO 27001, SOC 2).

12. Aktualität und Änderungen

Diese Datenschutzerklärung hat den Stand 28. Juni 2026. Durch die Weiterentwicklung des Dienstes kann eine Anpassung erforderlich werden. Es gilt jeweils die auf dieser Seite veröffentlichte aktuelle Fassung.